Truffe online 2026: le nuove tecniche e come difendersi

Le truffe online in Italia sono cresciute del 27% nel 2025 rispetto all’anno precedente, secondo il rapporto annuale della Polizia Postale e delle Comunicazioni pubblicato a marzo 2026. Le nuove tecniche integrano l’intelligenza artificiale per clonare voci familiari, generare email di phishing grammaticalmente perfette e creare profili falsi credibili sui social network. Tra le categorie più colpite: anziani, piccoli imprenditori, utenti di home banking e di piattaforme di trading online. I reati informatici rientrano nell’articolo 640-ter del codice penale (frode informatica), punito con la reclusione da sei mesi a tre anni e con la multa fino a 1.032 euro.

Nel 2025 le denunce registrate sono state oltre 338.000, con un danno economico complessivo stimato in 215 milioni di euro. Le sei tipologie più frequenti sono: phishing via email bancaria, smishing tramite SMS falsi (finti corrieri, finte Poste, finta Agenzia delle Entrate), finte PEC di notifica atti giudiziari, romance scam sui social, false vendite su Facebook Marketplace e truffe di investimento con trading crypto. La Polizia Postale opera attraverso il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche (CNAIPIC).

La prevenzione resta lo strumento più efficace. Una volta che il denaro è stato trasferito, il recupero è spesso impossibile perché i conti ricevitori vengono chiusi rapidamente o si trovano in giurisdizioni estere poco collaborative. La prima regola operativa è semplice: nessun istituto finanziario, ente pubblico o corriere chiede mai credenziali di accesso, codici OTP o dati della carta tramite email, SMS o telefonate.

---

Phishing e smishing: le tecniche del 2026

Il phishing 2026 ha fatto un salto di qualità grazie all’AI generativa. Le email fraudolente non presentano più gli errori grammaticali tipici degli anni precedenti: modelli di linguaggio producono testi in italiano impeccabile, con riferimenti personali reali estratti dai data breach recenti. I mittenti usano domini typosquatted (per esempio banca-online-intesa.it invece di intesa.com) che a prima vista sembrano autentici. Il link porta a pagine clone perfette, con certificati HTTPS validi ottenuti in pochi minuti tramite autorità di certificazione gratuite.

Lo smishing (phishing via SMS) resta il vettore più efficace sugli utenti anziani. I template più diffusi nel 2026: SMS di falsi avvisi Poste Italiane (pacco in giacenza, CUP sanitario, verifica dati bancoposta), SMS di finte banche con URL shortened, SMS di finta Agenzia delle Entrate per rimborsi fiscali. Gli operatori telefonici italiani (TIM, Vodafone, WindTre, Iliad) hanno attivato filtri anti-smishing SMS, ma l’efficacia varia.

AI vocale e clonazione della voce

La tecnica più pericolosa del 2026 è la clonazione vocale tramite AI. Con soli 30-60 secondi di voce registrata (facilmente ottenibile da video sui social network), strumenti di voice cloning ampiamente disponibili permettono di generare messaggi audio credibili impersonando familiari o colleghi. Il modus operandi tipico: una chiamata che sembra del figlio o del nipote richiede con urgenza un bonifico per un’emergenza (incidente, guaio legale, riscatto). La voce suona familiare, lo stato emotivo della vittima è alterato, la decisione viene presa rapidamente.

La Polizia Postale raccomanda tre contromisure. Primo: concordare in famiglia una parola chiave segreta da chiedere in caso di richieste urgenti inattese. Secondo: riagganciare sempre e richiamare il numero conosciuto della persona prima di agire. Terzo: mai effettuare bonifici istantanei senza verifiche, neanche su richiesta apparentemente urgente.

Come denunciare una truffa online

La denuncia va presentata presso il Commissariato di Polizia di Stato online (commissariatodips.it) oppure presso qualsiasi Commissariato fisico o Stazione dei Carabinieri. Prima della denuncia è fondamentale conservare ogni elemento di prova: screenshot dei messaggi, URL completi delle pagine visitate, intestazione completa delle email fraudolente, contabili dei bonifici effettuati, numeri di telefono dei chiamanti.

Se la truffa ha comportato un pagamento dalla propria carta o dal proprio conto bancario, è necessario contattare immediatamente la banca per il blocco della carta, la disconoscimento dell’operazione e l’attivazione della procedura di chargeback (per carte di credito entro 120 giorni, per bonifici istantanei SEPA entro tempi molto più stretti). Le vittime di phishing possono inoltre segnalare gli URL fraudolenti a Google Safe Browsing e alle Autorità di Vigilanza Finanziaria (CONSOB per investimenti, Banca d’Italia per servizi bancari).

Polizia Postale — segnalazioni: commissariatodips.it (portale online). Per emergenze immediate: 113. Numero Antitruffe Anziani (attivo dal lunedì al venerdì ore 8-20): 800 12 67 02. Per truffe finanziarie: CONSOB 800 68 66 88.

Le regole di base per difendersi

Le sette regole essenziali: mai cliccare su link in email o SMS sospetti, ma digitare direttamente l’indirizzo della banca o dell’ente nella barra del browser. Mai fornire credenziali di accesso, OTP o PIN via email, SMS o telefono. Attivare l’autenticazione a due fattori su home banking, posta elettronica, social e cloud. Verificare sempre l’URL completo: il dominio autentico di una banca è il suo nome ufficiale seguito da .it o .com, non aggiunte come banca-online.it. Non pubblicare mai sui social informazioni che aiutano a indovinare password o risposte di sicurezza (nome animale domestico, scuola frequentata, data di nascita familiari). Concordare una parola chiave familiare per richieste urgenti di denaro. Denunciare sempre alla Polizia Postale: ogni denuncia contribuisce a mappare i fenomeni emergenti e a proteggere altri utenti.

Leggi anche

• Codice Rosso 2026: come funziona la legge anti-violenza
• Stalking 2026: come riconoscerlo, cosa fare, denuncia
• La nostra politica editoriale per la cronaca

Potrebbe interessarti anche il nostro approfondimento su crimini informatici in Italia 2026.

Domande frequenti

Come si denuncia una truffa online?

La denuncia si presenta presso il Commissariato di Polizia di Stato online (commissariatodips.it), oppure presso qualsiasi Commissariato di Polizia o Stazione dei Carabinieri. Conservare screenshot, URL, email originali, contabili di pagamento. Contattare immediatamente la banca per bloccare la carta e attivare il chargeback.

Posso recuperare i soldi persi in una truffa online?

Il recupero è possibile in alcuni casi ma tutt’altro che garantito. Per pagamenti con carta di credito è attivabile la procedura di chargeback entro 120 giorni. Per bonifici SEPA istantanei i tempi sono molto più stretti (tipicamente poche ore). Per investimenti in piattaforme di trading fraudolente il recupero è quasi sempre impossibile. La Banca italiana rimborsa solo se dimostra negligenza propria o in caso di operazioni non autorizzate di cui il cliente non è colpevole.

Come riconoscere un’email di phishing nel 2026?

Gli errori grammaticali sono quasi scomparsi grazie all’AI. I segnali attuali sono: URL mittente (verificare il dominio completo, non solo il nome visualizzato), presenza di link abbreviati o typosquatted, tono di urgenza ingiustificata (blocchi conto, rimborsi urgenti), richieste di credenziali o OTP. Nel dubbio, non cliccare sui link ma digitare direttamente l’URL ufficiale della banca o dell’ente nella barra del browser.

Cos’è la clonazione vocale AI e come difendersi?

È una tecnica che con soli 30-60 secondi di voce registrata (facilmente ottenibile da video sui social) permette di generare messaggi audio credibili impersonando familiari o colleghi. La difesa più efficace raccomandata dalla Polizia Postale è concordare in famiglia una parola chiave segreta da richiedere in caso di richieste urgenti inattese. Riagganciare sempre e richiamare il numero conosciuto prima di agire.